Adatfeldolgozási megállapodás
Bevezetés
Jelen megállapodás a személyes adatoknak a revzper SAS (adatfeldolgozó) által az ügyfél (adatkezelő) nevében végzett feldolgozására irányadó.
1. Hatály és utasítások
Az adatfeldolgozó személyes adatokat kizárólag biztonságos csatornán keresztül megadott és az adatkezelő adatkezelési nyilvántartásaiban rögzített írásbeli utasítások alapján dolgozhat fel. A revzper SAS köteles visszaigazolni az utasítások kézhezvételét, valamint dokumentálni az azokra válaszul megtett valamennyi megfelelési intézkedést. Az adatfeldolgozó biztosítja, hogy a személyes adatok feldolgozására jogosult személyek titoktartási kötelezettséget vállaljanak. Az adatfeldolgozó megfelelő technikai és szervezési intézkedéseket hajt végre a kockázattal arányos biztonsági szint biztosítása érdekében. Az adatfeldolgozó segítséget nyújt az adatkezelőnek a kötelezettségeknek való megfelelés biztosításában.
2. Forráskód és adattár-releváns metaadatok
Amennyiben az adatkezelő elemzés céljából benyújtja azokat, a jelen Megállapodás alapján feldolgozott személyes adatok közé tartozik a forráskód és az adattár-releváns metaadatok: fájlútvonalak, commit-tárgyak, dátumok és darabszámok, valamint konfigurációs sorok, amelyek azonosíthatják az adatkezelő közreműködőit, továbbá az adatkezelő számítógépein futó programok nevei, folyamatszámai és indítási időpontjai.
Hivatkozás: GDPR 28. cikk (3) bekezdés
3. Személyes adatokon végzett tanítás tilalma
A revzper SAS nem használja a jelen Megállapodás alapján feldolgozott személyes adatokat AI-modellek tanítására vagy finomhangolására. Egy modellnek az adatkezelő számára történő finomhangolásához az adatkezelővel kötött külön írásbeli megállapodás szükséges, és arra kizárólag olyan adatokon kerül sor, amelyeket az adatkezelő erre a célra kifejezetten kijelölt. Az egyetlen kivétel az a visszajelzés, amelyet a felhasználó egy alkalmazáson keresztül küld, miután az adott visszajelzéshez tartozó külön jelölőnégyzetet bejelölte; ez a jelölőnégyzet minden alkalommal nincs bejelölve, és a felhasználó számára soha nincs bejelölve. A revzper SAS ezt követően ezt a visszajelzést adatkezelőként, a felhasználó hozzájárulása alapján dolgozza fel: eltávolítja a titkokat és a személyt azonosító adatokat, mielőtt a visszajelzés egy adathalmaz részévé válik; ezt az adathalmazt kizárólag a platform valamennyi felhasználó számára elérhető funkcióit kiszolgáló AI-modellek tesztelésére, tanítására és finomhangolására használja, soha nem egy másik ügyfél számára létrehozott modellhez; a tanítást az Európai Unióban működő, adatfeldolgozóként eljáró AI-szolgáltatóval végeztetheti el, olyan szerződés alapján, amely megtiltja az adott szolgáltatónak, hogy az adathalmazt saját céljaira használja; továbbá az egyes elemeket legfeljebb egy évig őrzi meg. Az adatkezelő továbbra is felelős azért, hogy felhasználói jogosultak legyenek megosztani a visszajelzésükhöz csatolt tartalmat.
Hivatkozás: GDPR 28. cikk (3) bekezdés a) pont, GDPR 28. cikk (10) bekezdés
4. A megszűnést követő intézkedések
A jelen Megállapodás megszűnésekor vagy az adatkezelő utasítására a revzper SAS köteles:
Alapértelmezett intézkedések
- A megszűnéstől számított 30 napon belül törölni valamennyi személyes adatot, kivéve, ha az adatkezelő írásban eltérő utasítást ad.
- Az adatkezelő által a megszűnéstől számított 15 napon belül írásban benyújtott kérés esetén valamennyi személyes adatot strukturált, széles körben használt és géppel olvasható formátumban visszaadni az adatkezelőnek.
- Írásbeli igazolást adni az adatkezelőnek a törlés vagy visszaadás teljesítéséről, beleértve az intézkedés dátumát és módját.
- Ésszerű kérésre lehetővé tenni az adatkezelő számára a jelen pontnak való megfelelés ellenőrzését.
További kötelezettségek
- A revzper SAS a fenti intézkedések teljesítését követően nem őrizhet meg személyes adatokat, kivéve, ha azt jogszabály írja elő.
Az adatfeldolgozás helye és az al-adatfeldolgozók
A jelen Megállapodás alapján végzett valamennyi személyesadat-feldolgozás az Európai Unión belül történik. A személyes adatokat Franciaországban (Párizs régiójában) a Scaleway SAS, 8 rue de la Ville-l'Évêque, 75008 Paris, France üzemelteti. A fizetési adatokat a Mollie B.V., Keizersgracht 126, 1015 CW Amsterdam, Netherlands, saját feltételei alapján, önálló adatkezelőként dolgozza fel. Az AI-funkciókat a Microsoft Ireland Operations Limited, Dublin, Ireland (Microsoft Foundry, Azure OpenAI Service, az Európai Unió adatövezetében, egy franciaországi erőforráson történő telepítések), valamint a Mistral AI SAS, 15 rue des Halles, 75001 Paris, France (La Plateforme, az Európai Unión belül tárolt adatok) al-adatfeldolgozóként dolgozza fel. Az adatkezelő kérésére konfigurált AI-szolgáltatót a használat előtt megnevezik az adatkezelő számára. A revzper SAS tájékoztatja az adatkezelőt, mielőtt bármely más al-adatfeldolgozót igénybe venne.
2. Az adatkezelő által kiválasztott AI-szolgáltatók és modellek
Amennyiben az adatkezelő vagy a nevében eljáró felhasználó olyan AI-funkcióval rendelkezik, amelyet az adatkezelő vagy a felhasználó saját fiókjával konfigurált AI-szolgáltató biztosít, vagy olyan modellel, amely az adatkezelő saját berendezésén fut, az adott szolgáltatót vagy modellt az adatkezelő veszi igénybe, és az nem a revzper SAS al-adatfeldolgozója; a revzper SAS legfeljebb továbbítja részére a kéréseket. Az adatkezelő felelős ezért a választásért, az adott szolgáltatóval kötött megállapodásáért, valamint a személyes adatok ebből eredő továbbításának jogszerűségéért, függetlenül attól, hogy az azt létrehozó vagy adminisztrátori szerepet betöltő felhasználó milyen szerepet tölt be a szolgáltatásban.
Hivatkozás: GDPR 24. cikk, GDPR 28. cikk (2) bekezdés